DKIM 记录生成器

什么是 DKIM？它如何工作？

DKIM（DomainKeys Identified Mail）是一种邮件认证方法，允许发件方对每封出站邮件进行密码学签名。收件邮件服务器使用发件方 DNS 中发布的公钥验证该签名。有效的 DKIM 签名可证明两点：邮件确实来自声明的域名，且传输过程中未被篡改。

与对照允许列表检查发送 IP 的 SPF 不同，DKIM 通过将数字签名附加到邮件本身来工作。因此 DKIM 验证在邮件转发后仍能成立，而 SPF 常因转发服务器 IP 不在原始 SPF 记录中而失败。

理解 DKIM DNS 记录格式

DKIM 记录是发布在特定子域名上的 DNS TXT 记录：selector._domainkey.yourdomain.com。选择器是你选择的标签——常见值为 mail、google、s1 或 default。记录值以 v=DKIM1; k=rsa; p= 开头，后接 base64 编码的公钥。

私钥保存在邮件服务器上，或由邮件服务提供商管理，需保密。你发布到 DNS 的是公钥。收件服务器用公钥验证私钥创建的签名——这是经典的公钥密码学模式。

在哪里找到你的 DKIM 公钥

启用 DKIM 签名时，邮件服务商会生成 DKIM 公钥。以下是最常见服务商中的查找位置：

• Google Workspace：管理控制台 → 应用 → Google Workspace → Gmail → 验证电子邮件。生成新密钥并复制 TXT 记录值。
• Microsoft 365：Exchange 管理中心 → 保护 → DKIM。为域名启用 DKIM 并复制 CNAME 记录（Microsoft 使用 CNAME，而非直接 TXT 记录）。
• Mailchimp：账户 → 域名 → 验证域名。Mailchimp 会提供需添加到 DNS 的 DKIM TXT 记录值。
• SendGrid：设置 → 发件人身份验证 → 域名身份验证。SendGrid 会为你生成完整的 DKIM TXT 记录。
• 自托管（Postfix、Exim）：使用 opendkim-genkey 生成密钥对。公钥文件中包含 TXT 记录值。

DKIM 最佳实践

尽可能使用 2048 位密钥长度——1024 位密钥被视为较弱，可能被部分邮件系统标记。定期轮换 DKIM 密钥（至少每年一次），以在密钥泄露时限制暴露范围。轮换后将旧密钥在 DNS 中保留数日，以便在途邮件仍能通过验证。

仅靠 DKIM 无法保护可见的 From 头。要完成邮件认证配置，请添加将 DKIM 结果与 From 域名对齐的 DMARC 策略。干净的邮箱列表同样重要——即使已通过认证，若反复退信仍会进入垃圾箱。使用 邮箱验证 移除无效地址，或使用 批量邮箱验证验证大型列表。